Todos los artículos sobre el Reglamento de Ciberresiliencia, Reglamento (UE) 2024/2847, incluidos los nuestros, dicen a los fabricantes qué deben tener listo. Es justo pedir lo mismo a la maquinaria de la que depende el Reglamento: los organismos que certifican, las normas que dan una presunción de conformidad, las autoridades que aplican, los CSIRT que reciben las notificaciones. Leímos los registros de la Comisión el día en que se aplicó la primera obligación y el día siguiente. Esto es lo que contenían.

Organismos notificados: ninguno

El artículo 32 envía los productos importantes y críticos a un organismo notificado para el examen UE de tipo o el aseguramiento pleno de la calidad, salvo que se aplique íntegramente una norma armonizada. Los organismos notificados los designan las autoridades notificantes de los Estados miembros y figuran en la base de datos NANDO de la Comisión, hoy parte del Single Market Compliance Space.

El 12 de septiembre de 2026, la lista de organismos notificados con arreglo al Reglamento (UE) 2024/2847 con notificación activa devolvía cero resultados. El Reglamento está en la lista de legislaciones para las que puede notificarse un organismo, y trece Estados miembros han registrado una autoridad notificante que podría notificar uno. Ninguna lo ha hecho.

Para un fabricante de un producto de clase I, clase II o crítico, eso significa que por ahora no hay nadie a quien enviar una solicitud. El objetivo propio de la Comisión, reiterado en sus orientaciones de 2026, es capacidad de organismos notificados para diciembre de 2026; la obligación de haber usado uno cae el 11 de diciembre de 2027.

Normas armonizadas: ninguna publicada

El artículo 27 da presunción de conformidad a los productos que aplican normas armonizadas cuyas referencias están publicadas en el Diario Oficial. El artículo 32, apartado 2, hace de esas normas la condición para que un producto de clase I se autoevalúe.

A septiembre de 2026 no se ha publicado en el Diario Oficial ninguna norma armonizada del CRA. La modificación de julio de 2026 de la Comisión a la solicitud de normalización trasladó las dos normas horizontales básicas a un objetivo del 31 de octubre de 2026, las normas verticales al 31 de diciembre de 2026 y las horizontales restantes a octubre de 2027, aproximadamente un año antes de la aplicación plena. Hasta la publicación, el anexo VII, punto 5, se responde describiendo las soluciones adoptadas, requisito por requisito, y un producto de clase I no tiene vía de autoevaluación.

Autoridades de aplicación: siete de 27

El artículo 52, apartado 2, obliga a cada Estado miembro a designar una autoridad de vigilancia del mercado y registrarla ante la Comisión. El 11 de septiembre de 2026 lo habían hecho siete: Bélgica, Chipre, Finlandia, Francia, Alemania, Letonia y Eslovaquia. Trece habían registrado una autoridad notificante. Doce no habían registrado ninguna de las dos. El registro, Estado por Estado.

CSIRT coordinadores: listados la víspera

El artículo 14 envía las notificaciones al CSIRT designado como coordinador con arreglo al artículo 12(1) de NIS2. ENISA publicó la lista de coordinadores designados el 10 de septiembre, la víspera de que se aplicara la obligación, y en dos de los 27 Estados el coordinador no es el CSIRT nacional que registra la red de CSIRT: en Chequia es NÚKIB, en Croacia NCSC-HR. La lista, Estado por Estado. La plataforma única de notificación pide al notificante elegir el coordinador en un desplegable, y ENISA dice que una notificación presentada al equivocado puede ser invalidada.

La plataforma: abierta

ENISA puso en marcha la capacidad operativa inicial de la plataforma única de notificación el 11 de septiembre de 2026, el día en que se aplicó el artículo 14. Funciona con EU Login y autenticación de dos factores, que puede configurarse antes de necesitarla; ENISA pide a los fabricantes que se registren en la plataforma en sí solo cuando tengan una notificación que presentar. Está solo en inglés y no tiene API. Es la única pieza de la maquinaria que estaba lista ese día, y cómo funciona, campo por campo, es un artículo aparte.

Qué significa para un fabricante

Un producto por defecto no se ve afectado. La autoevaluación según el módulo A del anexo VIII no necesita ni organismo notificado ni norma armonizada; los 22 requisitos se cumplen y documentan bajo la exclusiva responsabilidad del fabricante, y los doce pasos pueden completarse hoy.

Un producto de clase I no tiene vía todavía, y eso merece dejarse por escrito. El artículo 32, apartado 2, exige o bien la aplicación íntegra de una norma armonizada o bien un organismo notificado; no existe ninguno de los dos. El registro honesto para tal producto en septiembre de 2026 es un expediente construido frente al anexo I con las soluciones descritas, una nota de que la norma y el organismo están pendientes, y una comprobación cada mes. Cuando se notifique el primer organismo, su cola será la limitación, lo que es una razón para tener el expediente listo antes de que sea posible presentarlo.

La obligación de notificación está plenamente en vigor. Ninguna de las lagunas anteriores afecta al artículo 14. La plataforma está abierta, los CSIRT existen y los relojes corren.

Mantenemos las cifras de arriba bajo una revisión de treinta días y actualizaremos esta página cuando cambien; la fecha de arriba es la fecha en que se leyeron.

Fuentes

  • Reglamento (UE) 2024/2847, artículos 14, 27, 32, apartados 1 a 4, 36, 52, apartado 2, 71, apartado 2; anexo VIII.
  • El Single Market Compliance Space de la Comisión: organismos notificados con arreglo al Reglamento (UE) 2024/2847 con estado activo (cero el 12 de septiembre de 2026); autoridades de vigilancia del mercado y autoridades notificantes filtradas por el CRA (7 y 13 el 11 de septiembre de 2026).
  • La modificación de julio de 2026 de la Comisión a la solicitud de normalización del CRA, para el calendario de las normas armonizadas; el Diario Oficial, para la ausencia de referencias publicadas.
  • ENISA, «The CRA Single Reporting Platform is launched», comunicado de prensa de 11 de septiembre de 2026.

Esto no es asesoramiento jurídico, y son recuentos leídos en una fecha; los registros son públicos, así que las cifras actuales están a un clic.